Всплывающее окно во всех браузерах - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - Всплывающее окно во всех браузерах (http://forum.oszone.net/showthread.php?t=210001)

Всплывающее окно во всех браузерах

Во всех браузерах всплывает окно "В системе обнаружен вирус, использование интернета не желательно...." Многие сайты не открываются вообще или отображаются неправильно, видны некоторые html тэги. Ютуб подменяется на нечто, требующее смс и т.д.
Что делал. В системе стоит касперский, обновил базы, прогнал, не помогло, прогнал CureItом, не помогло, прогнал загрузочными дисками от касперского и доктор веба, находит что-то но проблему не решает. Нашел в нете кучу подобных проблем со скриптами для AVZ, ни один не решил проблему.
Malwarebytes' Anti-Malware прогонял, удалил все, что ему не понравилось - не помогло
Аналогично ATF Cleanerом удаил все

Введите в командной строке

Код:

route -f

перезагрузите компьютер, изменения есть?

Нет изменений

Выполните 4 стандартный скрипт в AVZ полученный архив из папки LOG пришлите на severnyj (at) mail.ru где (at) = @, если архив будет слишком большим залейте на файлообменник и выложите ссылку.

Подготовьте лог HiJackThis http://forum.oszone.net/thread-177677.html

Выполните скрипт в AVZ

Код:

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 QuarantineFile('C:\WINDOWS\system32\2B.tmp','');

 QuarantineFile('C:\WINDOWS\system32\12.tmp','');

 DeleteFile('C:\WINDOWS\system32\2B.tmp');

 DeleteFile('C:\WINDOWS\system32\12.tmp');

 DelCLSID('>{KMPlayer}');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

Код:

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

Полученный архив отправьте с помощью этой формы http://www.oszone.net/virusnet/ с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Пофиксите в HJT

Код:

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://DreamLair.net

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

Удалите в MBAM

Код:

c:\WINDOWS\system32\SaveHWID.exe (Trojan.Glox) -> No action taken.

c:\WINDOWS\system32\savehwids.exe (Trojan.Glox) -> No action taken.

c:\WINDOWS\system32\ssFields.scr (Malware.Packer.Gen) -> No action taken.

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению."

в hjt строки пофиксил
в mbam я удали все, что он нашел ( в т.ч. кейгены и кряки ) еще до того, как запостил здесь тему. Повторить проверку?
После комбофикса инет пропал вообще. При этом могу нормально зайти по 192.168.1.1 на адсл модем, но в нет не пускает даже если писать адреса айпишниками.
Разумеется перезагружался.
Да, еще после комбофикса куда-то сбрило асперского.
А нет, обманул, после очередной перезагрузки и инет и касперский вернулись.
Но страницы открываются только если притушить касперкого, на главную ютуба стало заходить, но не открывается куча сайтов, в т.ч. и ни одна страничка кроме главной с ютуба не грузится вообще, да и окошко всплывающее все там же, что б его.
Не заметил, что вы написали скрипт для авз :(
Сильно критично, что я его вполнил в последнюю очередь?

Сделайте лог TDSSkiller
Возможно он решит проблему с браузерами

после tdsskillera (убил то, что ему не понравилось) сайты стали открываться вроде все и окно это гадское пока не всплывает, но я еще мало времени тестил.
Но по прежнему инет работает только без касперского. Пока он включен не работают ни браузеры, ни другой софт, типа мэйл агента. При запуске ие касперский сейчас ругается, что обнаружена попытка запуска браузера с параметрами командной строки или как-то так. Могу напечатать точно, если это поможетв диагностике проблемы.

Цитата:

Цитата Shnurkov

обнаружена попытка запуска браузера с параметрами командной строки или как-то так »

Проверьте в ярлыке запуска браузера, нет ли какого-либо "хвоста" после имени файла браузера

Нету, при запуске браузера непосредственно из папки program files касперский говорит то же самое. А если файл iexplore.exe переименовать, то он не запускается вообще, в то время как на здоровой системе такого не наблюдается. Похоже тут зверинец целый завелся :(

Пытался переставить виндовс поверх, мало ли, вдруг поможет, но он обновляться отказался, сославшись на некие различия в файлах ядра. Из-за заразы ли это или из-за того, что там установлена неизвестная мне сбора, я не знаю. Ставить пытался чистую XP VLK SP3

Цитата:

Цитата Shnurkov

При запуске ие касперский сейчас ругается, что обнаружена попытка запуска браузера с параметрами командной строки или как-то так. Могу напечатать точно, если это поможетв диагностике проблемы. »

Если можно, давайте поподробнее.

Сделайте еще

такой и такой логи.

Попытка запуска браузера с ключами командной сроки: "C:\Program Files\internet explorer\iexplore.exe" SCODEF:3808 CREDAT:79873
Логи сейчас подготовлю....

Обновите базы АВЗ и повторите логи.

Выполните скрипт UVS и пришлите карантин.

Код:

;uVS v3.66 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\ntldr

zoo %Sys32%\LOGONUI.EXE

zoo %Sys32%\NOTEPAD.EXE

zoo %Sys32%\NTSD.EXE

zoo %SystemRoot%\REGEDIT.EXE

zoo %Sys32%\TASKMGR.EXE

zoo %SystemDrive%\PROGRAM FILES\OPERAAC\PROGRAM\PLUGINS\OBOOK.DLL

zoo %SystemDrive%\PROGRAM FILES\OPERAAC\PROGRAM\PLUGINS\NP-MSWMP.RAR

Вот логи, но по ходу буду форматировать диск С и переставлять винду

Уже включили коллективный разум по Вашей проблеме :)

Цитата:

Цитата Shnurkov

но по ходу буду форматировать диск С и переставлять винду »

Форматирование может и не помочь, если заражены буткитом http://ru.wikipedia.org/wiki/Буткит

Так что давайте сначала попробуем долечить.

Попробуйте еще эти средства:

http://safezone.cc/forum/showthread.php?t=54

результат выполнения скрипта UVSa
http://narod.ru/disk/17707606001/ZOO.zip.html

Из тех средств я разве что авиру пока не пробовал. щас прогоню для очистки совести....

А так был бы комп мой, я бы ждал, а комп приятеля, звонит, волнуется. Просит просто переставить винду..... Ну придержу сколько смогу, самому интересно доделать, я такого еще не встречал.

Есть еще мысль - очистить кэш всех браузеров и временные файлы, например с помощью CCleaner, еще лучше в безопасном режиме.

Потом еще разик Combofix повторите лог.

Цитата:

Цитата alex_sev

очистить кэш всех браузеров и временные файлы »

Отключите интернет и локальную сеть если таковая имеется.
[*]Очистите временные файлы.
Очистите временные файлы через Пуск - Программы - Стандартные - Служебные - Очистка диска или с помощью ATF Cleaner.
• Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
• Если вы используете Firefox, нажмите Firefox - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.
• Если вы используете Opera, нажмите Opera - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.

Чистил кэш я уже и не раз...
В общем всем спасибо, снес систему, поставил новую, вроде пока все ок

Жаль не управились, таких заражений достаточно, в том числе и за рубежом, хотелось бы поймать зловреда, для облегчения подобных лечений.